1. Giriş
Bu Veri Koruma Etki Değerlendirmesi (VKED), 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 12 kapsamındaki yükümlülükler ile Kişisel Verileri Koruma Kurulu rehber ilkeleri doğrultusunda hazırlanmıştır.
Lydira, seyahat acentelerinin kullandığı yazılım olarak acenteler adına pasaport bilgileri dahil yolcu kişisel verilerini büyük ölçekte işlediğinden bu değerlendirmenin yapılması zorunlu görülmüştür.
2. İşleme Faaliyetinin Tanımı
2.1 İşlemenin Niteliği
Lydira kişisel verileri aşağıdaki amaçlarla işlemektedir:
- Acentelerin tedarikçi bağlantıları üzerinden yaptığı bilet, konaklama, yat kiralama, kruvaziyer, transfer, araç kiralama ve tur rezervasyonları
- Güzergah, rezervasyon onayı ve vize düzenlemelerinin yönetimi
- Abonelik, yapay zekâ kredisi ve faturalama işlemleri
- Denetim kayıtları ve mevzuat uyum belgelerinin tutulması
2.2 İşleme Kapsamı
| Veri Kategorisi | Örnekler | İlgili Kişiler |
|---|---|---|
| Hesap verisi | Ad, e-posta, şifre özeti, iki adımlı doğrulama anahtarı | Platform kullanıcıları (acenteler, personel) |
| Yolcu verisi | Ad, pasaport bilgileri, iletişim bilgileri, güzergah | Acentelerin yolcuları ve misafirleri |
| Finansal veri | Abonelik ödemeleri; acentelerin faturaları, tahsilatları ve cari hesapları | Acenteler ve acentelerin müşterileri |
| İşlem kayıtları | IP adresi, tarayıcı bilgisi, işlem zaman damgaları | Platform kullanıcıları |
2.3 Veri Sorumlusu / Veri İşleyen Ayrımı
Kullanıcı hesabı ve fatura verilerinde Lydira veri sorumlusudur. Seyahat acentelerinin yolcu verilerinde ise Lydira veri işleyendir; acente veri sorumlusu konumundadır. Lydira'nın kimliği:
Lydira Yazılım ve Bilişim Teknolojileri Limited Şirketi
Esentepe Mah. Talat Paşa Cad. No: 5 İç Kapı No: 1, Şişli/İstanbul
MERSİS No: 0609147886200001
E-posta: privacy@lydira.com
3. Zorunluluk ve Orantılılık
3.1 Hukuki Dayanak
| İşleme Faaliyeti | Hukuki Dayanak | KVKK Maddesi |
|---|---|---|
| Rezervasyon oluşturma | Sözleşmenin ifası | Md. 5(2)(c) |
| Faturalama ve muhasebe | Sözleşmenin ifası / Hukuki yükümlülük | Md. 5(2)(c)/(ç) |
| Vergi kaydı (VUK) | Kanuni yükümlülük | Md. 5(2)(ç) |
| Güvenlik kaydı | Meşru menfaat | Md. 5(2)(f) |
3.2 Veri Minimizasyonu
- Tedarikçi sistemlerine yalnızca rezervasyon için zorunlu veriler iletilmektedir
- Kart numaraları Lydira'da saklanmaz; kart ödemelerini Türkiye'de iyzico, diğer ülkelerde Stripe alır
- Lydira'nın kendi fatura kayıtları yasal süre boyunca saklanır: Vergi Usul Kanunu Md. 253 uyarınca 5 yıl, Türk Ticaret Kanunu Md. 82 uyarınca 10 yıl. Acenteler adına tutulan kayıtların ne kadar saklanacağına acente karar verir.
- Uygulama analitik ya da pazarlama çerezi kullanmaz
4. Risk Değerlendirmesi
| Risk | Olasılık | Ciddiyet | Azaltma Tedbiri |
|---|---|---|---|
| Yolcu verilerine yetkisiz erişim | Düşük | Yüksek | İki adımlı doğrulama, hassas işlemlerde şifrenin yeniden sorulması, rol ve yetki tanımları, acentelerin verilerinin veritabanında birbirinden ayrılması |
| Tedarikçi bağlantıları üzerinden veri ihlali | Düşük | Orta | Bağlantı şifrelerinin şifreli saklanması, gelen bildirimlerin imzasının doğrulanması, tedarikçiye yalnızca gereken verinin gönderilmesi |
| Yurt dışı veri aktarımında yetersiz güvence | Düşük | Yüksek | KVKK Md. 9 kapsamında yeterlilik kararı ya da Kurul'un ilan ettiği standart sözleşme |
| Aşırı veri saklama | Orta | Orta | Otomatik silme süreleri (örneğin tedarikçi kayıtları 30 gün), başvuru üzerine silme ya da kişisel alanların karartılması |
Bu tedbirler uygulandıktan sonra ilgili kişiler açısından kalan risk düşük olarak değerlendirilmektedir.
5. Teknik ve İdari Tedbirler
- Şifreleme: Tarayıcı ile Lydira arasındaki tüm bağlantılar şifrelidir. Pasaport numaraları ile acentelerin bağladığı hizmetlerin şifre ve anahtarları veritabanında ayrıca şifrelenerek saklanır. Tedarikçilerle yapılan istek ve yanıt kayıtları şifreli tutulur ve 30 gün sonra silinir.
- Acentelerin birbirinden ayrılması: Her acentenin verileri veritabanı düzeyinde ayrılır; bir acentenin kullanıcısı başka bir acentenin kaydına erişemez.
- Yetkilendirme: Kullanıcının neyi görüp neyi yapabileceği rolüne bağlıdır. Erişim şube, şirket ve müşteri portföyü bazında daraltılabilir. Kişisel ve finansal alanlar yetkisi olmayan kullanıcıya maskelenir; maskeleme dışa aktarılan dosyalarda da uygulanır.
- Giriş güvenliği: İki adımlı doğrulama, hassas işlemlerden önce şifrenin yeniden sorulması, IP adresi kısıtlaması ve kurumsal tek oturum açma (SSO) kullanılabilir.
- İşlem kayıtları: Bir kaydı kimin, ne zaman, hangi IP adresi ve tarayıcıdan değiştirdiği kayıt geçmişinde tutulur.
- Kötüye kullanıma karşı sınırlar: Giriş denemeleri ve programatik erişim (API) çağrıları sayıyla sınırlandırılır.
- Dış sistemlerle bağlantılar: Dış sistemlerden gelen bildirimlerin imzası doğrulanır; Lydira'nın gönderdiği bildirimler imzalanır.
- Yapay zekâ ve izleme servisleri: Yapay zekâya gönderilen metinlerde e-posta, telefon, IBAN, kart ve T.C. kimlik numarası gibi doğrudan tanımlayıcılar maskelenir. Hata ve performans izleme servislerine giden mesajlardan kişisel veriler temizlenir.
- Silme ve karartma: Bir silme başvurusunda, yasal saklama yükümlülüğü olmayan kayıtlar silinir; fatura gibi saklanması zorunlu kayıtlarda kişisel alanlar karartılır.
- Başvuru ve ihlal yönetimi: Veri sahibi başvuruları uygulama içinden 30 günlük süre takibiyle yürütülür. Veri ihlalleri bir ihlal kaydında izlenir ve bildirimi yapılır.
- Alt işleyenler: Her alt işleyenle eşdeğer koruma yükümlülükleri içeren yazılı sözleşme yapılır; güncel liste alt işleyenler sayfamızda yayımlanır.
6. Yurt Dışına Veri Aktarımı
| Alıcı | Ülke | Aktarım Mekanizması |
|---|---|---|
| Amazon Web Services (barındırma) | Türkiye (İstanbul Local Zone) | Aktarım yok; Türkiye'den açılan çalışma alanının verileri İstanbul'da kalır |
| iyzico (Türkiye'deki abonelik ödemeleri) | Türkiye | Aktarım yok |
| Stripe, Inc. | Amerika Birleşik Devletleri ve AB | KVKK Md. 9: standart sözleşme |
| OpenAI | Amerika Birleşik Devletleri | KVKK Md. 9: standart sözleşme |
| Mailgun (Sinch), Sentry, New Relic | AB | KVKK Md. 9: standart sözleşme |
| Cloudflare | Küresel uç ağ | KVKK Md. 9: standart sözleşme |
Acentenin kendi hesabıyla bağladığı hizmetler (örneğin GDS ofisi veya bir otel tedarikçisi) acentenin o sağlayıcıyla yaptığı sözleşme kapsamında çalışır ve Lydira'nın alt işleyeni değildir.
7. Onay
Bu VKED, Lydira Veri Koruma Sorumlusu tarafından onaylanmıştır. Kişisel veri ihlallerinde KVKK Madde 12 uyarınca 72 saat içinde Kurul'a bildirim yapılmaktadır. Sorularınız için: privacy@lydira.com